Portabilité du passeport numérique des produits : 8 questions que chaque marque doit se poser avant de choisir un fournisseur

La question que personne ne pose lors de la démo

L'appel de vente pour une plateforme de passeport de produit numérique a tendance à suivre un script familier. Quelqu'un vous montre un tableau de bord. Il y a un code QR. Les données apparaissent sur l'écran d'un téléphone. Cela a l'air propre et facile, et vers la fin, un responsable de la conformité pose des questions sur les délais ESPR et un fondateur pose des questions sur le prix.

Presque personne ne me demande : qu'adviendra-t-il de mon passeport si vous fermez ?

Ce n'est pas une question injuste. Le marché du DPP est jeune, la réglementation est toujours en cours de mise en œuvre et les entreprises qui mettent en place une infrastructure de conformité aujourd'hui vont des plateformes bien capitalisées aux startups de deux personnes financées par des subventions. Le risque lié aux fournisseurs est réel. Et contrairement à un abonnement SaaS pour la gestion de projet, un passeport de produit numérique est attaché à un produit physique qui peut être en circulation pendant dix, quinze ou vingt ans.

Bonne nouvelle : l'UE avait anticipé ce problème. Le règlement (UE) 2024/1781 — le règlement sur l'écoconception pour des produits durables, ou ESPR — a été rédigé dans un souci explicite de continuité des données. L'architecture qu'il impose est conçue pour empêcher le verrouillage. Mais les protections de la réglementation ne fonctionnent que si la plateforme que vous choisissez les met réellement en œuvre.

Voici ce qu'il faut rechercher.

Qui délivre l'identifiant ?

Chaque passeport de produit numérique est associé à un identifiant de produit unique, un code qui relie le produit physique à son enregistrement numérique. L'origine de cet identifiant est plus importante que ne le pensent la plupart des marques.

L'ESPR et la méthodologie technique du JRC qui la sous-tend définissent trois niveaux d'identification que chaque DPP doit porter : un identifiant de produit unique (UPI) qui relie l'article physique à son enregistrement numérique ; un identifiant unique d'opérateur (UOI) qui identifie l'opérateur économique responsable de la mise sur le marché du produit sur le marché de l'UE ; et un identifiant unique d'installation (UFI) qui retrace les sites physiques impliqués dans la production ou le traitement en fin de vie. Il ne s'agit pas de SKU internes ni de codes propriétaires. La réglementation exige des identifiants détectables, résolvables et vérifiables tout au long de la chaîne d'approvisionnement mondiale. Les normes régissant leur format exact sont actuellement en cours d'élaboration par le comité européen de normalisation CEN/CENELEC Joint Technical Committee 24.

Dans ce cadre, les identifiants GS1 (GTIN pour les produits, GLN pour les opérateurs et les installations) constituent l'implémentation la plus largement déployée dans le monde. Le GTIN est reconnu dans 115 pays, intégré aux infrastructures douanières, de vente au détail et de logistique, et déjà exigé par les principaux détaillants et les organismes de surveillance du marché. GS1 Digital Link, la norme ouverte qui transforme un code QR en une URL structurée et résolvable, est le mécanisme de résolution utilisé par Fluxy.One exactement pour cette raison : il fonctionne n'importe où, avec n'importe quel résolveur conforme, et il n'est lié à aucune plateforme unique.

Le GTIN appartient à la marque et non à la plateforme. Une entreprise s'enregistre directement auprès de GS1, via GS1 Belgilux, GS1 Allemagne, GS1 France ou toute autre organisation membre nationale qui couvre son marché. Si la marque change de fournisseur DPP, l'identifiant voyage avec lui. Le code QR du produit ne change pas.

La première question à poser à tout fournisseur de DPP est la suivante : quelle norme d'identification implémentez-vous et peut-elle être résolue par un système conforme indépendamment de votre plateforme ?

Qui peut rédiger, mettre à jour et révoquer ?

En vertu de l'article 9 de l'ESPR, l'opérateur économique, c'est-à-dire le fabricant ou l'importateur qui met le produit sur le marché de l'UE, est légalement responsable de l'exactitude et de l'exhaustivité du DPP. Cette responsabilité ne peut pas être déléguée à une plateforme logicielle. Cela reste fidèle à la marque.

Une plateforme DPP bien conçue en tient compte dans son architecture technique. La marque contrôle l'accès en écriture à ses propres dossiers de passeport. Le personnel de la plateforme ne devrait pas avoir la possibilité de modifier les données des clients, non pas par engagement politique, mais en tant que contrainte technique imposée par des contrôles d'accès basés sur les rôles, tous les accès étant enregistrés de manière immuable.

La révocation mérite une note séparée. La révocation d'un DPP ne signifie pas sa suppression. Dans le cadre de l'ESPR, la révocation inscrit un événement immuable dans le dossier de conformité, avec un horodatage, une raison indiquée et l'identité de la personne qui a agi. L'histoire du passeport reste intacte. Cela est important pour les autorités de surveillance du marché, qui doivent être en mesure de reconstituer ce qui s'est passé et à quel moment.

Demandez à n'importe quel fournisseur : la restriction d'accès en écriture est-elle une politique ou est-elle appliquée au niveau de l'architecture ? La réponse vous en dit long.

Rétention contre continuité

Une copie de sauvegarde n'est pas la même chose qu'un enregistrement de travail. Cette distinction est plus importante que ne le reconnaissent la plupart des discussions sur le DPP.

La conservation signifie que vos données sont stockées dans un endroit sûr. La continuité signifie que votre passeport reste un enregistrement actif, résolvable et actualisable, qui peut recevoir de nouveaux événements du cycle de vie, des attributions d'acteurs et des transferts de propriété, même après la fin de la relation initiale avec la plateforme. L'ESPR nécessite le second. Une exportation périmée ou un résolveur défectueux ne répond pas aux critères du passeport, quel que soit le contenu de la sauvegarde.

Ce n'est pas uniquement le mécanisme de sauvegarde qui rend la continuité possible entre les fournisseurs. Il s'agit de la combinaison de trois éléments : un identifiant qui peut être redirigé vers n'importe quel résolveur conforme ; un journal des événements dans un format ouvert que tout opérateur certifié peut ingérer et continuer à ajouter ; et le registre central de l'UE, mandaté en vertu de l'article 13 de l'ESPR pour juillet 2026, qui est conçu pour conserver l'enregistrement de référence canonique et maintenir la résolution indépendamment de toute plate-forme unique.

Les droits et obligations exacts (qui peut être ajouté à un enregistrement, sous quelle authentification, au-delà des limites de la plateforme) seront définis dans les actes délégués par catégorie de produit. Il ne s'agit pas d'une lacune dans le cadre actuel ; c'est ainsi que le règlement a été conçu pour fonctionner.

Qui héberge les données et que se passe-t-il si le fournisseur disparaît ?

La plupart des fournisseurs DPP hébergent eux-mêmes les données. C'est très bien, c'est rationnel sur le plan opérationnel, et la réglementation n'oblige pas les marques à s'auto-héberger. Ce que la réglementation exige, c'est un filet de sécurité.

L'article 11 de l'ESPR exige qu'une copie de sauvegarde à jour de chaque DPP soit conservée par un tiers indépendant, indépendamment de la plateforme principale. Cette exigence a été rédigée spécifiquement pour traiter de l'insolvabilité. Si un fournisseur DPP ferme ses portes, l'opérateur de sauvegarde conserve les données et peut les transférer vers une nouvelle plateforme. Le règlement a été conçu pour que votre passeport survive à votre fournisseur.

Le système de certification de ces opérateurs de sauvegarde est en cours de finalisation par la Commission européenne, de sorte que la définition précise des termes « indépendant » et « certifié » est toujours en cours d'élaboration. Ce qui existe déjà dans le règlement, c'est l'obligation elle-même : la sauvegarde doit avoir lieu, et elle doit être confiée à une partie distincte.

Il existe un deuxième niveau de protection qui est souvent négligé. En vertu de l'article 13 de l'ESPR, la Commission est tenue d'établir un registre numérique central d'ici au 19 juillet 2026. Ce registre contiendra l'enregistrement de référence canonique de chaque DPP, pas une copie, mais un enregistrement actif et résolvable qui persistera indépendamment de toute plateforme. Mises à jour, attribution des acteurs, événements du cycle de vie : l'architecture suppose que ceux-ci se poursuivent dans le registre même si la relation initiale avec la plateforme prend fin.

En ce qui concerne la résolution en particulier : les identifiants basés sur des normes ouvertes peuvent être redirigés vers n'importe quel résolveur conforme. La migration du résolveur d'un fournisseur vers un autre est une opération technique et non un événement de perte de données.

Qui voit quoi et qui décide ?

Scanner un code QR sur un produit se fait en un seul geste. Ce qui apparaît à l'écran dépend entièrement de la personne qui effectue la numérisation.

Un consommateur qui achète une veste consulte la composition du matériau, les instructions d'entretien et les informations relatives à la durabilité. Un réparateur certifié consulte les schémas techniques et les références des pièces de rechange. Les autorités douanières consultent les certificats de conformité et les déclarations de conformité. Un recycleur consulte les données relatives à la teneur en produits chimiques et les instructions de démontage. Une autorité de surveillance du marché voit tout, y compris la piste d'audit complète de chaque modification apportée au passeport.

Même code QR. Quatre points de vue complètement différents.

Il ne s'agit pas d'un choix de conception, mais d'une exigence réglementaire. L'article 10 de l'ESPR impose un accès hiérarchisé : différents acteurs voient différentes couches du passeport en fonction de leur rôle et de leur niveau d'autorisation. Les actes délégués, publiés catégorie par catégorie de produits, définiront exactement quels acteurs peuvent consulter, saisir, modifier ou mettre à jour quels champs de données.

Une limite est déjà fixée dans le règlement indépendamment des actes délégués : les données personnelles des clients ne peuvent pas être stockées dans le système DPP sans leur consentement explicite. Le passeport est un enregistrement de produit. Il ne s'agit pas d'une base de données clients et elle ne peut pas le devenir.

Jusqu'à ce que les actes délégués soient en place pour une catégorie de produits donnée, les niveaux d'accès sont configurés conjointement par la plateforme et la marque. Tout fournisseur honnête vous dira que cette partie du cadre est encore en cours de développement et vous montrera exactement comment son architecture d'accès actuelle migrera vers les exigences des actes délégués à son arrivée.

La question mérite d'être posée : pouvez-vous voir, à l'heure actuelle, qui a accédé aux données de votre passeport et quand ? Un journal d'accès immuable, qui enregistre chaque vue, par quel type d'acteur et à quelle heure, n'est pas une fonctionnalité optionnelle. C'est ainsi que vous démontrez à un régulateur que votre gouvernance des données a fonctionné.

Qu'en est-il des informations commercialement sensibles ?

Les marques ayant des formulations exclusives, des arrangements d'approvisionnement en matériaux ou des processus de fabrication craignent souvent qu'un DPP ne les oblige à publier ces informations publiquement. Cette inquiétude est compréhensible et, dans la plupart des cas, mal fondée.

Le cadre ESPR fait la distinction entre les données qui doivent être accessibles au public et celles qui sont réservées aux acteurs autorisés (régulateurs, auditeurs, autorités de surveillance du marché) dans des conditions de confidentialité. Une marque de cosmétiques n'a pas besoin de publier sa formule. Un fabricant de textiles n'est pas tenu de divulguer sa liste de fournisseurs aux consommateurs. La réglementation exige la transparence en ce qui concerne les caractéristiques de durabilité, et non la divulgation de secrets commerciaux.

Les limites exactes seront définies produit par produit dans les actes délégués. Pour les catégories pour lesquelles aucun acte délégué n'est encore en place, les niveaux d'accès restent configurables. Une bonne plateforme DPP permet à la marque de définir ce qui est public, ce qui est réservé aux acteurs professionnels vérifiés et ce qui n'est disponible que pour les autorités réglementaires.

Qu'est-ce qui est portable et qu'est-ce qui survit ?

La portabilité ne se limite pas à la présence d'un bouton d'exportation. La question est de savoir si les données exportées peuvent être lues par un autre système sans la plate-forme d'origine dans la pièce.

La réponse dépend du format. Le format JSON-LD structuré selon le vocabulaire CIRPASS-2, le cadre d'interopérabilité ouvert propre à l'UE, développé en collaboration avec GS1, est le format que tout opérateur DPP certifié peut intégrer. Si les données de votre passeport sont stockées dans un schéma propriétaire, un fichier d'exportation peut techniquement exister mais être pratiquement illisible sans travail d'intégration personnalisé.

Au-delà du format des données, se pose la question des règles de validation. Les formes SHACL, c'est-à-dire les définitions formelles de ce que doit contenir un DPP conforme pour une catégorie de produits donnée, sont publiées ouvertement par CIRPASS-2 et maintenues dans le cadre du processus de normalisation de l'UE. Une plateforme DPP qui s'appuie sur ces formes ouvertes n'écrit pas les règles ; elle les met en œuvre. Lorsque les formes sont mises à jour pour refléter de nouveaux actes délégués, la logique de validation est mise à jour. Les données n'ont pas besoin d'être déplacées.

Que demander avant de signer

Huit questions à poser à tout fournisseur de DPP avant de s'engager :

Quelle norme d'identification implémentez-vous et peut-elle être résolue par n'importe quel système conforme indépendamment de votre plateforme ?

Qui est techniquement propriétaire de l'accès écrit aux dossiers de passeport, et est-ce que cela est imposé sur le plan architectural ou par des politiques ?

Où est conservée la copie de sauvegarde obligatoire et par quel opérateur indépendant ?

Dans quel format les données sont-elles exportées et pouvez-vous démontrer qu'une autre plateforme certifiée peut les ingérer sans travail personnalisé ?

Quel schéma de validation la plateforme met-elle en œuvre et comment ces schémas sont-ils mis à jour lorsque de nouveaux actes délégués sont publiés ?

Pouvez-vous afficher le journal des événements accessible uniquement pour un exemple de passeport et confirmer qu'il ne peut pas être modifié rétroactivement ?

Pouvez-vous afficher le journal d'accès immuable : chaque vue, par quel type d'acteur, à quelle heure ?

Quel sera votre processus de migration si nous décidons de déménager ? Combien de temps cela prend-il et à quel prix ? Un fournisseur qui a sérieusement réfléchi à l'interopérabilité aura une réponse précise, avant même l'arrivée des actes délégués.

Un fournisseur doté d'une infrastructure bien conçue aura des réponses directes à ces huit questions. Les réponses vagues à chacune d'entre elles méritent d'être étudiées.

Le règlement a été rédigé pour vous protéger de toute dépendance vis-à-vis des fournisseurs. Utilise-le.

L'UE n'a pas conçu le cadre du DPP en tenant compte de la dépendance vis-à-vis des fournisseurs. Il l'a conçu avec la continuité, l'interopérabilité et la responsabilité comme objectifs explicites. Les normes d'identification ouvertes, la sauvegarde tierce obligatoire, le registre central, les formulaires de validation ouverts sont des choix architecturaux intégrés dans la réglementation, et non des fonctionnalités facultatives.

Les marques qui effectueront le mieux la transition vers le DPP sont celles qui considèrent la sélection des fournisseurs comme une décision d'infrastructure, et non comme un achat de logiciel. Les questions ci-dessus ne sont pas hostiles. Ce sont les bonnes questions à poser à toute plateforme sérieuse, et une plateforme sérieuse les accueillera avec plaisir.

Si vous voulez comprendre comment Fluxy.One aborde chacun d'entre eux dans la pratique, la conversation commence ici.

Le cadre ESPR continue de se développer grâce à des actes délégués qui définiront les exigences DPP spécifiques aux produits, catégorie par catégorie. Cet article reflète le règlement-cadre en vigueur en juin 2024 et les directives d'interopérabilité actuelles du CIRPASS-2. Il est destiné à une orientation et non à des conseils juridiques.

‍